If you have any PHP based website (Wordpress, nextcloud, Webshop, whatever) take it offline now and wait for the install to be patched.
There’s a CVSS 10 vulnerability that’s actively being exploited in an automated way that gives the attacker full root access.
The mitigations that are circulating rn are bullshit, if the server can handle a post request and runs php, it’s vulnerable.
There’s a CVSS 10 vulnerability that’s actively being exploited in an automated way that gives the attacker full root access.
The mitigations that are circulating rn are bullshit, if the server can handle a post request and runs php, it’s vulnerable.
как же похуй на все эти дыры, когда сидишь на чистом html+css+немного js на богоподобном Ngnix и в хуй не дуешь, попивая ананасовый Jack Daniels и просто наслаждаешься жизнью.
отдельно приятно смотреть на перекошенные лица соевых кнопкодавов, у которых вместо мозга - модный фреймворк и Claude Code.
>на чистом html+css+немного js
>Ngnix
Ну и нахуй в таком случае тебе энжинкс, дегенерат? Чтобы что?
технологии древних актуальны всегда
p.s. уважаю челов, кто сайты держит в таком формате.
>энжинкс, дегенерат? Чтобы что?
Это веб-сервер, уебок ты тупорылый, когда же вы блядь научитесь думать перед тем как что-то пиздануть?
>Это веб-сервер
Это, прежде всего, кэширующий костыль, а уж потом всё остальное.
В мире пхп армагеддон бушует, а мы ещё полчасика подождём, чтобы ровненько в 14 часов выпустить по красоте.
Инфы толком никакой нет, скорее всего эксплоит в паблике ещё не скоро появится.
Инфа есть. Но она для шарящих.
В примечании к эксплоиту утверждается, что уязвимости вызваны обращением к уже освобождённой памяти в обработчике отслеживания прогресса загрузки файлов на сервер (session.upload_progress). Наличия на сайте функциональности для загрузки файлов для совершения атаки не требуется, достаточно автоматического срабатывания в PHP-интерпретаторе обработчика контента "multipart/form-data". Для успешной эксплуатации требуется определение раскладки структур в памяти процесса, которая специфична в каждой сборке (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов).
В качестве обходного пути защиты встречаются рекомендации выставить в php.ini параметр "session.upload_progress.enabled = off" (или "php_admin_flag[session.upload_progress.enabled] = off" в PHP-FPM), но представитель проекта PHP, а также автор первого прототипа эксплоита утверждают, что для блокирования обеих уязвимостей этого недостаточно. В примечании ко второму прототипу эксплоита упоминается, что помимо вышеупомянутой настройки в php.ini для предотвращения атаки без применения патча требуется полная блокировка запросов с типом контента "multipart/form-data", которая приведёт к невозможности загрузки файлов через web-формы.
Армагеддон арманеддоном, а обед по расписанию.
>а чистом html+css+немного js
Так твоя домашняя страничка пункта приёма стеклотары не принимает никаких данных.
Патч выкатили, мир спасён.
В докере нихуя нет.
Надо учитывать, что разные каналы обновлений одупляются с разной скоростью.
Ахуеть, ты взломал локалхост, браво!
А теперь попробуй со своим обосраным скриптиком пробить cloudflare например или фаервол моего апача.
Все что нужно знать про мамкиных хакеров - это то, что кроме того как куртить лутбоксы они ни на что не способны.
>Под угрозой могут оказаться даже сайты на старых версиях
Правильно ли я понимаю, что гипотетически дырища была много лет и никто ничего с этим не делал?
Мне кажется это хорошо подсвечивает всю суть погроммиздов
Надо такие phpы делать, чтобы они ответку могли кидать: взломал сайт, и тут хуякс и у хакера все биткоины на развитие ии внезапно задоначены.
Дыры не было, просто надо чтобы все западные сайты и госуслуги установили себе срочный зонд
>фаервол моего апача
Антивирус не забудь поставить, тогда точно не пройдёт.
С развитием ИИ количество найденных уязвимостей увеличилось в разы. Майнтейнеры опен сорса зашиваются. Надеюсь, скоро спадёт эта волна.
А вот владельцы закрытого кода не факт, что ищут дыры так же хорошо, как камунити. И всякий платный софт вызывает больше опасений.
Пока докер там раздуплится, мир уже взломают.
>В докере
Докер в итоге самым дырявым оказался по этой уязвимости, потому что стандартный образ со стандартной эксплуатацией, тот же самый пых поставленный в систему по классике уже так просто не вскрывается, судя по разбору полётов.
Не удивительно. Я покупал толстенную книжку по языку PHP больше 900 страниц лет восемь тому назад. Денег за неё кстати немало отдал. Тогда мне не хватило разума освоить эту технологию. Я тогда потерпел фиаско.
А я до сих пор не отдупляю зачем на прод ставить докер? Там нативно всё крутится должно, а под докером сами разрабы сидят чтобы у них точно такое же окружение как у сервера было.
Судя по описанию проблемы выше:
таких уязвимостей, с обращениями к ранее освобожденной памяти, у интерпретаторов любого языка, со сборщиками мусора тысячами найдут. У всех СУБД, у неба и даже у аллаха.
Команда PHP назначила экстренное обновление на 21 октября 2026 года, 14:00 UTC (17:00 мск). Исправления закроют две уязвимости с оценкой 9,2 по шкале CVSS 4.0. Технические подробности разработчики пока не раскрывают, однако сведения об ошибках просочились в интернет раньше согласованного срока, а исследователи уже продемонстрировали предполагаемые способы атаки.
Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Специалисты watchTowr подтвердили существование обеих проблем и заявили, что смогли воспроизвести CVE-2026-109618. По предварительным сведениям, ошибки позволяют добиться удалённого выполнения кода (RCE) без предварительной авторизации. Официальный перечень затронутых версий PHP пока отсутствует.
В сети также распространяется демонстрация инструмента PHP2Shell, приписываемого исследователям Calif.IO. На видеозаписи показан предполагаемый запуск команд на серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS. Демонстрация охватывает как Apache с модулем PHP, так и конфигурации PHP-FPM. Однако независимой проверки всех показанных сценариев пока нет, поэтому универсальность эксплойта остаётся неподтверждённой.
https://www.securitylab.ru/news/579027.php